一个做教育培训的老板找我，说文道全律师，我们被人举报了。
我问他怎么回事。
他说我们一个课程顾问离职，把手里的客户名单带走，卖给了竞品公司。现在客户天天接到推销电话，举报到网信办了。
我说你这个事，不只是员工带走客户名单的问题。你公司收集家长信息、孩子信息，有没有做合规？
他说我们就是建了个Excel表，存客户电话和孩子年级。
我说那你这个事，踩了个人信息保护法的红线。
个人信息保护法管什么
个人信息保护法2021年11月1日施行。
个人信息是什么？以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。姓名、生日、身份证号、电话、地址、行踪、生物识别信息，都是。
敏感个人信息是什么？一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息。
那个教育公司存的是孩子的信息——不满十四周岁，是敏感个人信息。要求更严。
企业处理个人信息，要遵守几个原则：合法、正当、必要、诚信。目的明确、最小范围、安全保障。
违法了怎么罚？
一般违法，责令改正、警告、没收违法所得、罚款。拒不改正的，处一百万元以下罚款。
情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款。还可以责令停业整顿、吊销相关业务许可证或者吊销营业执照。
企业常见的个人信息坑
我办案中遇到的几个。
第一，过度收集。一个社交APP，要你的通讯录、位置、相册。一个电商APP，要你的麦克风。不需要的权限都要要。这叫过度收集，违法。
第二，员工带走客户名单。员工离职，把客户电话、微信、订单记录带走。这不是员工私德问题，是侵犯公民个人信息罪。刑法第二百五十三条之一。
第三，外包人员接触个人信息。客服外包、数据标注外包、IT外包，这些外包人员能接触到用户数据。如果没有签保密协议、没有做权限管控，出事公司担责。
第四，数据共享。和合作方交换用户数据、买客户名单。买数据的一方，也构成侵犯公民个人信息罪。
第五，没有隐私政策。APP、网站收集用户信息，要有隐私政策，告诉用户你收集什么、用来干什么、存多久、和谁共享。不能偷偷收集。
那个教育公司，我们介入后做了几件事：一是证明公司有客户信息管理制度、员工签了保密协议；二是那个课程顾问是私自卖数据，公司不知情；三是配合网信办调查，删除了非法流出的数据。最后公司被罚款二十万，员工被追究侵犯公民个人信息罪。
企业个人信息合规怎么做
文道全律师团队给企业做合规，几个核心。
第一，梳理数据资产。公司收集了哪些个人信息？谁能接触？存在哪？用来做什么？先盘清楚。
第二，最小必要。不要的信息不要收集。一个点餐APP，不需要你的通讯录。一个健身房，不需要你的医疗记录。
第三，隐私政策。写清楚收集什么、为什么、存多久、和谁共享。用户用之前让他知道。
第四，权限管控。客户信息只有销售能看、财务数据只有财务能看、高管数据只有HR能看。员工离职立刻关闭权限。
第五，员工协议。入职签保密协议、竞业限制协议。明确带走客户数据是犯罪。
第六，数据安全。数据库加密、访问日志、定期备份。不要用Excel存在员工自己电脑上。
第七，敏感信息特别保护。不满十四岁未成年人信息、医疗健康、金融账户，要有单独的处理规则。
做企业，用户数据是资产，也是风险。你不当回事，网信办和公安会替你当回事。
常见问题
问：员工带走客户电话，算犯罪吗？
算。情节严重的，构成侵犯公民个人信息罪。五十条以上信息就立案。
问：公司APP过度收集信息，罚多少？
一般违法罚一百万以下。情节严重的，最高五千万元或者年营业额百分之五。
问：买客户名单做营销，有事吗？
有事。买数据的一方，也构成侵犯公民个人信息罪。
问：客户信息存在员工微信里，安全吗？
不安全。员工离职带走、手机丢了被黑，都是风险。要用公司CRM系统，权限管控。
问：公司被网信办调查，怎么办？
配合调查。删除违法收集的数据、整改隐私政策、罚款缴纳。不要销毁证据。
问：个人信息保护合规要花多少钱？
看企业规模。小公司做制度、培训、权限管控，几万块。大公司做全套合规体系、数据安全审计，几十万。比出一次事罚五百万强。
免责声明：本文内容仅供一般性参考，不构成正式法律意见。如遇具体法律问题，请咨询本所专业律师（咨询电话：18511835733）。